【動作テスト】生成AIの社内利用ルールで最初に決める3つ

生成AIの社内利用ルールは、最初から細かな規程を作り込む必要はありません。弊社では、まず①会社として使ってよいツール、②入力してはいけない情報、③事故が起きたときの連絡先の3つを決めることが、現実的な出発点だと考えています。

生成AIは、文章の作成や要約、アイデア整理などに活用できます。一方で、社員がそれぞれの判断で使い始めると、どのサービスに何を入力してよいのかが人によって変わります。便利さを止めるのではなく、情報の扱い方だけを先にそろえることが、社内利用の第一歩です。

生成AIの社内利用で最初に決めるルールは3つ

• 会社として使ってよい生成AIツールを決める
• 生成AIに入力してはいけない情報を決める
• 入力ミスなどの事故が起きたとき、誰へ連絡するかを決める

この3つは、生成AIの使い方を細かく制限するためのものではありません。社員が迷ったときに判断でき、問題が起きたときに早く共有できる状態をつくるための最低限のルールです。

なぜ生成AIの社内利用でルールが後回しになるのか

生成AIは、アカウントを作ればすぐに使えるものがあります。そのため、会社が正式に導入を決める前に、社員が個別に試し始めることがあります。まず使ってみて、便利であれば社内に広げたいという進め方自体は不自然ではありません。

問題は、使い始める段階で情報管理の判断まで個人に任されやすいことです。ある社員は顧客情報を入力してはいけないと考え、別の社員は業務上必要なら入力してよいと考えるかもしれません。ツールの選び方も、無料のサービスを使う人、会社が契約したサービスを使う人に分かれる可能性があります。

これは社員の注意不足だけが原因ではありません。会社としての基準がないため、社員がその場で判断するしかない構造になっています。だからこそ、利用者に気をつけさせるだけでなく、会社側が先に判断基準を用意する必要があります。

1. 会社として使ってよい生成AIツールを決める

最初に決めるのは、生成AIを使ってよいかどうかだけではありません。会社の業務で利用してよいツールを、具体的な名前で決めます。「生成AIを使ってよい」というルールだけでは、社員がどのサービスを使えばよいのか判断できないためです。

たとえば、ChatGPTの有償プランなどを会社として利用する候補にする場合は、入力データの学習利用に関する設定を確認します。プラン名だけで判断せず、会社が契約している内容や管理画面などで、どの設定を確認したのかを残しておくことが大切です。

ツールのルールは「使ってよい名前」まで書く

社内ルールには、「会社が指定した生成AIツールを利用する」とだけ書くのではなく、利用を認めるツール名を記載します。ChatGPTを使うのであれば、ChatGPTと明記します。社員が検索して見つけた別のサービスを、会社が認めたものと誤解しないようにするためです。

あわせて、個人で作成したアカウントを業務に使ってよいのか、会社が用意したアカウントを使うのかも決めます。ここで重要なのは、利用者が毎回迷わないことです。社内に複数の選択肢を残す場合も、用途ごとに使うツールを示せる状態にします。

2. 生成AIに入力してはいけない情報を決める

次に、生成AIへ入力してはいけない情報を具体的にします。「機密情報を入力してはいけない」という表現だけでは、何が機密情報に当たるのかが分かりにくいからです。最初は、社内で判断しやすい情報から明示します。

• 顧客の個人情報
• 取引先から預かった資料
• 見積や原価に関する情報

この3種類は、生成AIへの入力を禁止する情報としてルールに書きやすい項目です。特に、文章の要約や表の整理をしたい場面では、元の資料をそのまま貼り付けたくなります。しかし、業務に必要な資料であっても、外部サービスへ入力してよいとは限りません。

迷う情報を入力しない判断基準も決める

禁止項目を並べるだけでなく、迷ったときの行動も決めておきます。たとえば、「入力してよいか判断できない情報は、入力せず責任者に確認する」という一文を加えます。これにより、社員が自分の判断だけで入力を進める状況を減らせます。

また、入力してよい情報の例も示すと、ルールが全面禁止になりにくくなります。公開済みの文章をもとに表現を整える、個別の顧客情報を含まない文章の構成を考えるなど、会社が許可した範囲で使い方を示します。利用できる場面が分かれば、禁止事項だけを読んで利用をあきらめる必要もありません。

個人情報の扱いについては、個人情報保護委員会が2023年6月2日に、生成AIサービスの利用に関する注意喚起を公表しています。生成AIサービスへの個人データ入力を含む情報の扱いを決める際は、同委員会の公表内容も確認します。出典は「https://www.ppc.go.jp/news/press/2023/230602kouhou/」です。

3. 生成AIの利用で事故が起きたときの連絡先を決める

3つ目は、事故が起きたときに誰へ連絡するかです。禁止情報を誤って入力した、利用してよいか分からない資料を入力した、使っているツールが会社の指定したものか分からない。このような場面で、社員が相談先を知らなければ、報告が遅れます。

最初から複雑な対応窓口を設ける必要はありません。まずは責任者を1名決め、名前と連絡方法を社内ルールに書きます。総務担当、情報管理の担当者、生成AIの社内運用担当者など、会社の実情に合わせて決めます。

報告した人を責めない運用にする

連絡先だけ決めても、報告しにくい雰囲気があれば機能しません。入力ミスをした社員が、叱責や評価への影響を恐れて黙ってしまうと、会社は状況を確認できないままになります。

そのため、「誤って入力した可能性がある場合も、分かった時点で責任者へ報告する」「報告したこと自体を責めない」といった方針を明記します。事故を完全になくすことよりも、問題が起きたときに早く把握できる状態をつくることが重要です。

生成AIの社内利用ルールを決めないままにすると起きること

ルールがない状態では、社員ごとに異なるサービスを使い、異なる基準で情報を入力することになります。会社が認めていないツールが業務に使われていても、管理する側が把握できない可能性があります。

入力禁止情報についても、判断が個人任せになります。顧客の個人情報、取引先から預かった資料、見積や原価の情報などを、業務効率化の目的で入力してしまう場面が考えられます。本人に悪意がなくても、会社として許可していない情報の扱いが発生します。

さらに、問題が起きたときの連絡先が決まっていなければ、社員は誰に相談すればよいか分かりません。上司に伝えるのか、システム担当に伝えるのか、経営者に伝えるのかが曖昧なままだと、報告のタイミングも人によって変わります。

この状態で利用だけが広がると、会社は生成AIを使っている事実は把握できても、どのツールで、どのような情報を扱っているのかを整理しにくくなります。便利さを得る前に、管理できない状態を広げることになりかねません。

全面禁止でも全面自由でもない、現実的な着地点

生成AIの社内利用では、全面禁止と全面自由のどちらも実務上の負担を生みます。全面禁止にすると、社員が個別に使っていても会社が把握しにくくなります。全面自由にすると、ツールと入力情報の判断が利用者ごとに分かれます。

現実的な着地点は、利用を認めるツールと、入力してはいけない情報を先に限定することです。そのうえで、事故時の連絡先を決め、迷った場合は確認する運用にします。利用できる範囲を残しながら、情報の扱いに関する最低限の線引きを会社として示します。

最初は1枚の社内ルールから始める

最初に作る文書は、分厚い規程でなくても構いません。次の内容を1枚にまとめるだけでも、社員が取るべき行動は明確になります。

• 会社として使ってよいツール名
• 入力してはいけない情報の具体例
• 判断に迷ったときの確認先
• 誤入力などが起きたときの責任者と連絡方法
• 入力データの学習利用に関して確認した設定

この文書を社内で共有し、実際に使ってみて分からない点や不足する場面が出たら、後から追加します。最初から完璧なルールを目指すより、利用者が守れる内容に絞って運用を始める方が、社内利用の土台を作りやすくなります。

生成AIの社内利用で最初に必要なのは、細かな禁止事項の一覧ではありません。会社が使ってよいツール、入力してはいけない情報、事故時の連絡先。この3つを決めることで、社員が迷ったときの判断基準と、会社が問題を把握するための窓口を用意できます。